Server Anda melihat pintu keluar VPN, bukan pengunjungnya

Seorang pengunjung terhubung melalui VPN komersial dan aplikasi Anda mencatat alamat keluar. Itu bukan identitas tersembunyi: itulah satu-satunya alamat sumber yang dimiliki koneksi TCP. Segala hal lain yang orang sebut deteksi adalah dugaan yang dilapisi di atas satu fakta itu.

Apa yang sebenarnya dibawa sebuah permintaan

Aplikasi melihat alamat dan port sumber koneksi, jabat tangan yang diselesaikan, dan byte yang dipilih klien untuk dikirim. Di bawah terowongan penuh, sumber itu adalah pintu keluar, dipakai bersama oleh semua penggunanya. Di bawah terowongan terpisah, permintaan dapat datang dari terowongan atau dari koneksi lokal tergantung tujuannya. Jika klien dan server sama-sama berada di dalam VPN yang sama, sumbernya adalah alamat terowongan dalam klien, yang menandai titik ujung, bukan lokasi.

Tidak ada bidang dalam permintaan biasa yang membawa alamat yang dimiliki klien sebelum terowongan. Header penerusan adalah klaim klien atau proksi, dan bisa dihilangkan atau dipalsukan.

Deteksi adalah klasifikasi, dan klasifikasi adalah tebakan

Metode praktisnya adalah daftar rentang VPN dan hosting yang dikenal, latensi yang tidak cocok dengan wilayah yang diklaim, bentuk traceroute, dan perilaku akun. Masing-masing menghasilkan probabilitas. VPN korporat bisa berada di alamat yang tampak residensial, proksi residensial bisa tampak seperti saluran rumah, dan NAT operator bisa tampak seperti rentang hosting.

Memblokir pintu keluar bersama memblokir setiap pengguna tak terkait di belakangnya, yang mengubah keputusan deteksi menjadi gangguan tambahan. Skor keyakinan bukan identitas dan tidak boleh menjadi satu-satunya masukan untuk keputusan larangan atau pengembalian dana.

Jika VPN itu milik Anda, Anda punya sinyal andal yang tidak ada hubungannya dengan deteksi: tetapkan kumpulan khusus dan cocokkan sumber yang teramati dengannya. Itu berhasil karena Anda mengendalikan kedua ujung dan dapat mendokumentasikan kumpulan itu. Namun itu tidak digeneralisasi ke pengunjung yang tidak Anda kelola, dan berhenti andal saat kumpulan itu dibagi dengan layanan lain.

Bukti lokal versus bukti sisi server

Di mesin itu sendiri terowongan terlihat: adaptor virtual, rute default yang mengarah ke perangkat terowongan, resolver yang berubah. Kode yang berjalan di sana dapat menghitung antarmuka dan mencari PPP, TAP, atau pengandar vendor.

Halaman web tidak dapat membaca semua itu. Akal-akalan yang umum memuat aset yang hanya disajikan dari jaringan internal dan menganggap keberhasilan sebagai bukti penggunaan terowongan. Itu sebenarnya menguji keterjangkauan: terowongan terpisah, berkas tembolok yang basi, atau proksi penyadapan memberi hasil yang sama pada kedua keadaan. Bukti lokal tetap lokal.

Pilih kontrol akses yang bertahan terhadap ambiguitas

Bangun kontrol akses atas identitas terverifikasi, kesehatan perangkat, dan otorisasi per sumber daya. Predikat itu menjelaskan siapa yang bertanya dan apa yang boleh dicapainya, dan tetap bermakna apakah terowongan terlibat atau tidak. Apakah permintaan datang lewat VPN adalah sinyal lemah yang menghasilkan penerimaan salah sekaligus blokir tambahan. Simpan bukti dan keputusan di bidang terpisah, agar blokir yang diperdebatkan punya sesuatu untuk ditinjau.

Geolokasi IP adalah satu masukan di antara beberapa, dan layanan lokasi peramban dapat memakai Wi-Fi atau GPS yang tidak pernah mengikuti terowongan. Peta yang masih menampilkan kota pengunjung adalah bukti tentang layanan lokasi, bukan bukti bahwa terowongan gagal.

Catat sinyal mana yang memandu setiap keputusan. Ketika pelanggan mempersoalkan blokir, catatan itu adalah perbedaan antara tinjauan dan perdebatan.